Vaksincom Temukan 69,6 Persen Server PHP di Indonesia Usang

Risiko keamanan server web di Indonesia meningkat setelah pemindaian Vaksincom pada 23 Oktober 2026 menemukan 69,6 persen kecocokan versi PHP yang terdeteksi masih menggunakan perangkat lunak usang atau End of Life (EOL). Temuan terhadap 89.193 host PHP aktif ini menjadi perhatian karena muncul di tengah ancaman PHP2Shell yang berpotensi memungkinkan peretas mengambil alih server dari jarak jauh tanpa autentikasi, dilansir dari Detik iNET.

Menurut data Vaksincom yang disampaikan Pengamat Keamanan Cyber Alfons Tanujaya, pemindaian tersebut mencatat 99.896 kecocokan versi layanan. Sebanyak 69.546 kecocokan menggunakan PHP EOL, sedangkan hanya 226 kecocokan atau sekitar 0,2 persen teridentifikasi menggunakan versi dengan perbaikan keamanan.

Versi PHP yang telah mencapai EOL tidak lagi menerima pembaruan keamanan resmi dari pengembangnya. Kondisi tersebut dapat meningkatkan risiko serangan apabila celah keamanan pada server tidak diperbaiki.

Ancaman PHP2Shell berkaitan dengan dua kerentanan, yakni CVE-2026-109618 dan CVE-2026-109619. Keduanya memiliki skor keparahan CVSS 9,2 dari maksimal 10 dan berpotensi memungkinkan serangan eksekusi kode jarak jauh atau remote code execution tanpa autentikasi.

Jika berhasil dimanfaatkan, kerentanan tersebut dapat memberikan kesempatan kepada penyerang untuk menjalankan kode berbahaya pada server yang terdampak. Risiko ini mengancam keamanan data dan keberlangsungan layanan yang bergantung pada server tersebut.

Alfons menyoroti tingginya penggunaan versi PHP usang pada lingkungan pemerintah dan perusahaan. Berdasarkan pemindaian Vaksincom, kedua sektor tersebut sama-sama mencatat 96,7 persen kecocokan versi PHP berstatus EOL.

Pada domain pemerintah (.go.id), sebanyak 1.621 dari 1.677 kecocokan versi PHP menggunakan versi usang. Versi yang paling banyak ditemukan adalah PHP 5.6.40, yang dukungan resminya telah berakhir sejak 2018.

Di lingkungan perusahaan dengan domain (.co.id), terdapat 4.495 dari 4.650 kecocokan versi PHP yang berstatus EOL. Sementara itu, proporsi penggunaan PHP EOL pada perguruan tinggi (.ac.id) mencapai 88,7 persen dan pada sekolah (.sch.id) sebesar 69,9 persen.

Menurut Alfons, salah satu kendala pembaruan adalah keberadaan aplikasi lama atau legacy system. Sistem tersebut sering membutuhkan perubahan kode agar dapat berjalan dengan versi PHP modern, sehingga proses migrasi tidak selalu dapat dilakukan secara langsung.

Untuk mengurangi risiko, Alfons menyarankan administrator teknologi informasi mengaudit seluruh versi PHP yang digunakan, termasuk pada server internal. Sistem yang masih memakai versi dengan dukungan keamanan perlu diperbarui ke rilis yang memiliki perbaikan keamanan, sedangkan pengguna versi EOL perlu menyiapkan migrasi secara bertahap.

Selama migrasi belum selesai, administrator disarankan memastikan ketersediaan backported patch, membatasi akses publik melalui Web Application Firewall (WAF) atau jaringan privat virtual (VPN), serta menonaktifkan layanan yang tidak diperlukan.

Vaksincom juga mengingatkan bahwa nomor versi PHP yang terlihat lama tidak selalu berarti server tidak memiliki perlindungan terbaru. Sejumlah distribusi Linux menerapkan patch keamanan tanpa mengubah nomor versi PHP yang ditampilkan.

Untuk mencegah penyalahgunaan informasi, Vaksincom tidak memublikasikan daftar domain atau instansi yang terindikasi rentan. Informasi terkait temuan tersebut dikoordinasikan secara tertutup dengan pihak terkait, termasuk Badan Siber dan Sandi Negara (BSSN).